Secure Boot ماهو وما هو عمله في الانظمه و الهواتف

Secure Boot هو نظام حماية مدمج في الهواتف والحواسيب. وظيفته الأساسية أن يضمن تحميل مكونات تشغيلية موثوقة فقط أثناء بدء التشغيل. بهذه الطريقة يمنع البرمجيات الخبيثة من الوصول إلى المراحل العميقة للنظام والسيطرة على الجهاز.

ما هو Secure Boot؟

Secure Boot عبارة عن آلية أمان تعتمد على التشفير. عندما يقلع الجهاز، يقوم بالتحقق من أن جميع البرمجيات المستخدَمة موقّعة رقمياً بمفاتيح صحيحة.

الشركات المصنّعة تُوقّع ملفات الإقلاع بمفتاحها الخاص.

الجهاز يملك نسخة من المفتاح العام، ويستخدمها للتأكد من صحة التوقيع.

إذا اكتشف أي ملف غير موقّع أو معدَّل، يوقف عملية الإقلاع فورًا.

كيف يعمل ؟

المرحلة	ما يحدث	مثال من الواقع
1. البرامج الثابتة (Firmware)	• أول كود يُشغَّل عند الضغط على زر التشغيل. • يتحقق من توقيع Bootloader.	شريحة UEFI/BIOS في الحواسيب، أو برنامج Boot ROM في الهواتف.
2. تحميل Bootloader	• يُفحص توقيعه الرقمي بواسطة Firmware. • إذا كان غير موثوق، يتوقف الإقلاع.	في أندرويد: aboot أو lk (Little Kernel).
3. تحميل Kernel	• Bootloader يتحقق من توقيع نواة النظام (مثل Linux Kernel).	نواة أندرويد يجب أن تكون موقَّعة بمفاتيح Google/المصنع.
4. تحميل المشغِّلات (Drivers)	• Kernel يتحقق من توقيعات مشغِّلات الأجهزة.	مشغِّل كاميرا أو بلوتوث غير موقَّع يُرفض تحميله.

على الحواسيب (UEFI Secure Boot)

توجد مفاتيح داخل الـUEFI Firmware:

PK (Platform Key): المفتاح الأعلى سلطة.

KEK: مفاتيح تبادل لإدارة الثقة.

db / dbx: قوائم المسموح (db) والمحظور (dbx) من الشهادات/التواقيع.

عند الإقلاع، يتحقق الـUEFI من محمّل الإقلاع (Bootloader) مثل Windows Boot Manager أو shim (للينكس).

إن كان التوقيع معتمدًا في قاعدة الثقة → يُسمح بالإقلاع. وإلا يُمنع أو يظهر تحذير.

بعض الأجهزة تسمح بتعطيل Secure Boot أو اعتماد مفاتيحك (Enroll keys) — مفيد لتوزيعات لينكس، لكنه قرار أمني يجب فهم آثاره.

2) على الهواتف (وخاصة أندرويد)

البداية من BootROM (في المعالج/SoC): يتحقق من المرحلة التالية (مثل SBL/Preloader) باستخدام مفتاح الشركة المخزن في فيوزات/منطقة أمان.

بعدها تأتي آليات أندرويد الحديثة مثل Android Verified Boot (AVB 2.0):

تتحقق من سلامة أقسام الإقلاع (boot/recovery/system/vendor…) عبر التوقيعات وdm-verity.

Rollback Protection: منع الرجوع لإصدار أقدم ضعيف أمنيًا، بالاعتماد على عدّاد غير قابل للرجوع (أحيانًا في RPMB/eFuse).

حالة البوتلودر:

Locked (مقفل): التحقق مفروض بالكامل.

Unlocked (مفتوح): يسمح بتحميل صور غير موقعة رسميًا لكن مع تحذيرات وأحيانًا تعطيل ميزات أمان/دفع. عادةً فتحه يمسح البيانات.

رسائل الحالة: أجهزة أندرويد تعرض حالات مثل Green/Orange/Yellow بحسب سلامة السلسلة وحالة القفل.

ملاحظة خاصة بـ MediaTek (MTK)

التسلسل عادةً: BootROM → Preloader → LK/ABL → Kernel.

في الأجيال الأحدث (المعروفة مجتمعيًا بـ MTK v6 / MTK2.0)، تُضاف طبقات تحقق/مصادقة أقوى (مثل SLA/DAA) تمنع أدوات التفليش العامة من الوصول إلا عبر حسابات موثقة أو أدوات خدمة معتمدة. هذا مرتبط بـSecure Boot لأنه يفرض أن Download Agent (DA) نفسه يجب أن يكون موقّعًا ومعتمدًا قبل السماح بعمليات على الذاكرة.

لماذا هو مهم؟

يمنع البرمجيات الخبيثة من التغلغل قبل النظام.

يحافظ على سلامة النظام والتحديثات.

يحمي بيانات المستخدم ويدعم ميزات مثل محفظات الدفع وDRM لكون الجهاز موثوق الإقلاع.

Secure Boot vs Verified Boot vs Measured Boot

Secure Boot: يمنع التحميل إذا التوقيع غير موثوق.

Verified Boot (أندرويد/AVB): يوسّع التحقق إلى أقسام النظام كلها ويكشف/يمنع التلاعب ويطبّق حماية الرجوع.

Measured Boot: لا يمنع التحميل، لكنه يقيس (يُسجّل البصمات) ويرسلها لوحدة ثقة مثل TPM للمقارنة لاحقًا (تفيد في المصادقة عن بُعد/التحقّق من السلامة).

ماذا يحدث عند فتح البوتلودر؟

يتحوّل من “فرض الثقة” إلى “ثقة المستخدم”: يسمح بإقلاع صور غير موقّعة رسميًا (رومات مخصّصة)، لكن:

تظهر تحذيرات في الإقلاع.

غالبًا يتم مسح البيانات لحماية الخصوصية.

قد تتعطل ميزات حساسة (دفع/DRM/سلامة Play Integrity)، وقد تفشل بعض التحديثات الهوائية (OTA).

أثره على الصيانة والتفليش

الأجهزة الحديثة، خصوصًا مع MTK v6/MTK2.0، غالبًا تتطلب:

حسابات مصادقة رسمية (Authorized Accounts) أو أدوات خدمة معتمدة لدى الشركة.

صور/firmwares موقعة توافق مفاتيح الجهاز.

التوقيعات الرقمية:

كل مرحلة تُوقَّع بمفتاح تشفير خاص (Private Key) من المطوِّر (مثل Google، Microsoft، Apple).

الجهاز يحمل المفتاح العام (Public Key) المطابق للتحقق من صحة التوقيع.

إذا فشل التحقق: يتوقف التشغيل فورًا أو يُحمَّل وضع الاسترداد (Recovery Mode).

أين يُستخدم؟ (التطبيقات العملية)

النظام/الجهاز	كيف يُطبق Secure Boot
هواتف أندرويد	• جزء من مشروع Verified Boot (مدمج مع Android 7+). • في أجهزة شاومي/سامسونج: يعمل مع TEE (مثل TrustZone).
أجهزة iOS	• سلسلة ثقة تبدأ من Boot ROM → iBoot → Kernel. • تُوقَّع كل المكونات بمفاتيح Apple الخاصة.
حواسيب Windows	• ميزة في UEFI (بديل الـ BIOS) منذ Windows 8. • يمنع تحميل مشغِّلات غير موقَّعة.
Linux (بعض التوزيعات)	• يدعمه الـ UEFI + أداة shim للتحقق من توقيعات النواة.

لماذا يُعدّ حاسمًا للأمان؟

مكافحة Rootkits:
يمنع البرمجيات الخبيثة من التخفي في مرحلة الإقلاع (مثل Bootkits).

حماية البيانات:
يشفر مساحة التخزين (مثل FBE في أندرويد) ويحمي مفاتيح التشفير من السرقة.

ضمان تكامل النظام:
حتى لو تم اختراق نظام التشغيل، لا يمكن تعديل المكونات الأساسية.

Secure Boot في الهواتف: (أندرويد)

كيف يعمل مع TEE (مثال: شاومي/سامسونج):

Boot ROM:

أول كود يُشغَّل (مُخزَّن في شريحة لا يمكن تعديلها).

يتحقق من توقيع Bootloader باستخدام مفتاح عام من المصنع.

Bootloader (مثل aboot)

يُحمّل نواة أندرويد بعد التحقق من توقيعها.

في أجهزة MTK2.0: يتواصل مع شريحة TEE (TrustZone) لفحص المفاتيح.

TrustZone (TEE):

منطقة معزولة داخل المعالج تُشغِّل كود أماني منفصل.

تخزن مفاتيح التشفير وتتحكم في فتح البوتلودر (Unlock Token).

📌 نتيجة:
حتى لو تمت سرقة الهاتف، لا يمكن تغيير النظام دون كسر سلسلة الثقة (مستحيل تقنيًا في الأجهزة الحديثة).

هل يمكن تعطيله؟

في الهواتف:
نادرًا ما يكون ممكنًا (خاصةً في iOS أو أندرويد حديث). إن وُجد الخيار، يكون في:
إعدادات المطورين → OEM Unlocking (مع تحذير: يفقد الضمان).

في الحواسيب:
عبر إعدادات الـ UEFI/BIOS، لكن:

ويندوز قد يرفض التشغيل.

بعض أنظمة Linux تتطلب تعطيله.

مستقبل Secure Boot

دمج مع أجهزة أمنية:
مثل TPM 2.0 في الحواسيب، أو Titan M2 في هواتف Pixel.

حماية ضد كمومية:
تطوير توقيعات تشفيرية مقاومة للحواسيب الكمية (PQCrypto).

أنظمة موحدة:
مبادرات مثل Project Cerberus (مايكروسوفت/إنتل) لحماية سلسلة الإقلاع كاملةً.

Secure Boot هو حجر الأساس لأمن الإقلاع: يمنع أي كود غير موقّع/غير موثوق من بدء العمل.

في الحواسيب: يُدار عبر UEFI ومفاتيح PK/KEK/db.

الهواتف (أندرويد): يمتد عبر BootROM → Bootloader → AVB 2.0 مع حماية رجوع وتحقق شامل.

معالجات MTK الحديثة (MTK2.0): تُضاف خطوات مصادقة قوية (SLA/DAA) تعني أن التفليش والصيانة يتطلبان مسارات رسمية أو أدوات خدمة معتمدة.

⚠️ تنبيه قانوني قصير: أي محاولات لتجاوز الحماية قد تكون مخالفة للقانون في بعض الدول، وقد تسبّب تعطيلًا دائمًا للجهاز وفقدان الضمان/البيانات. استخدم الطرق الرسمية فقط، وعلى مسؤوليتك.